钩子的原理

最新推荐文章于 2019-05-22 11:27:46 发布

yongqi0408

最新推荐文章于 2019-05-22 11:27:46 发布

阅读量1.8k

点赞数

文章标签： hook exception winapi keyboard shell system

本文链接：https://blog.csdn.net/yongqi0408/article/details/1914544

版权

本文详细探讨了Windows API中的钩子技术，包括钩子的工作原理、类型，如键盘钩子、外壳钩子等，以及异常处理在钩子系统中的角色。通过理解钩子的实现，读者将能更好地掌握系统级监控和定制行为的方法。

摘要由CSDN通过智能技术生成

Windows系统是建立在事件驱动的机制上的，说穿了就是整个系统都是通过消息的传递来实现的。而钩子是Windows系统中非常重要的系统接口，用它可以截获并处理送给其他应用程序的消息，来完成普通应用程序难以实现的功能。钩子可以监视系统或进程中的各种事件消息，截获发往目标窗口的消息并进行处理。这样，我们就可以在系统中安装自定义的钩子，监视系统中特定事件的发生，完成特定的功能，比如截获键盘、鼠标的输入，屏幕取词，日志监视等等。可见，利用钩子可以实现许多特殊而有用的功能。因此，对于高级编程人员来说，掌握钩子的编程方法是很有必要的。

钩子的类型
　　一．按事件分类，有如下的几种常用类型
　　（1）键盘钩子和低级键盘钩子可以监视各种键盘消息。
　　（2）鼠标钩子和低级鼠标钩子可以监视各种鼠标消息。
　　（3）外壳钩子可以监视各种Shell事件消息。比如启动和关闭应用程序。
　　（4）日志钩子可以记录从系统消息队列中取出的各种事件消息。
　　（5）窗口过程钩子监视所有从系统消息队列发往目标窗口的消息。
　　此外，还有一些特定事件的钩子提供给我们使用，不一一列举。
下面描述常用的Hook类型：
1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks
WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用WH_CALLWNDPRO
CRET Hook子程。WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到Hook子程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息参数。
2、WH_CBT Hook
在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括：
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；
2. 完成系统指令；
3. 来自系统消息队列中的移动鼠标，键盘事件；
4. 设置输入焦点事件；
5. 同步系统消息队列事件。

程序介绍:

利用这个程序:
1.可以监视在你的电脑运行的程序, 把在你的电脑运行过的程序的时间和名字记录下来;
2.可以阻止你规定的禁用程序的执行, 比如不让玩游戏。
3.这个程序需要加入注册表, 在系统启动时就运行, 达到监视的目的。注册表大概都不陌生，就是这里:
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run

程序的记录格式:

2003-02-03 17:31:25 - [System Startup - Windows XP 5.01.2600]
2003-02-03 17:31:29 "CabinetWClass" -> "我的电脑"
2003-02-03 17:31:59 "Red Alert" -> "Red Alert" (关闭禁用程序)
2003-02-03 17:32:19 "扫雷" -> "扫雷" (关闭禁用程序)
2003-02-03 17:32:35 "OpusApp" -> "Microsoft Word"
2003-02-03 17:32:50 - [System Shutdown - 0 days, 0 hrs, 1 mins, 25 secs]

2003-02-03 17:35:37 - [System Startup - Windows 98 SE 4.10.2222]
2003-02-03 17:35:53 "扫雷" -> "扫雷" (关闭禁用程序)
2003-02-03 17:36:05 "CabinetWClass" -> ""
2003-02-03 17:36:31 "Red Alert" -> "Red Alert" (关闭禁用程序)
2003-02-03 17:36:56 "ExploreWClass" -> ""
2003-02-03 17:37:07 - [System Shutdown - 0 days, 0 hrs, 1 mins, 30 secs]

程序运行只需要3个文件:
   hwhpapp.exe 可执行文件
   hwhpdrv.dll 安装钩子的动态链接库
   hwhpapp.cfg 禁用软件黑名单, 可用记事本修改
程序运行会自动产生记录文件:
   hwhpapp.sys 可以用记事本打开看

程序原理:

一．钩子
利用 API 函数 SetWindowsHookEx() 安装一个全局钩子, 钩子类型为 WH_SHELL。
WH_SHELL 钩子可监视所有应用程序的主窗口创建或者关闭。
最典型的应用就是 Windows 的状态栏，当程序运行时，把主窗口的标题加入状态栏，程序退出时，从状态栏删除。
如果你截获这个钩子，可以做到禁止状态栏的显示，也可以自己作一个状态栏，或者作一个历史记录，把所有在你电脑曾经运行的程序记录下来。如果运行的程序不是你希望的，你可以直接关闭这个程序，达到禁止运行的目的。

二．动态链接库
由于钩子是全局的，必须把这个钩子定义到 .DLL 的动态链接库里，这就涉及到建立动态链接库。

三．共享内存
由于钩子是安装到系统里的，钩子的运行是在操作系统里面，因此这个钩子不能使用你的程序所定义的任何全局变量！
既然如此，有什么办法解决呢？在